Política de Segurança da Informação

Propósito

A informação é um dos ativos mais críticos para a Global Exchange, por isso é fundamental estabelecer um conjunto de medidas em todos os canais em que ela é armazenada, transmitida ou processada. O propósito da Política da Segurança da Informação da Global Exchange é garantir a confidencialidade, integridade e disponibilidade dos dados para cumprir as obrigações e boas práticas em matéria de segurança da informação no desenvolvimento da sua atividade.

Objetivo

A presente Política tem como objetivo principal definir as medidas necessárias para garantir a integridade, disponibilidade e confidencialidade da informação gerida pelo Grupo Global Exchange.

Esta Política será especificada e desenvolvida através de normas, guias, padrões, manuais, planos e procedimentos, que serão atualizados quando necessário em função das novas exigências impostas pelos avanços da tecnologia e do negócio.

A Política da Segurança da Informação foi criada tendo como referência os principais marcos de segurança da informação, normativas e regulamentações tanto locais como internacionais, entre as quais se destacam:

• ISO/IEC 27001
• ISO/IEC 22301
• ISO/IEC 31000
• Esquema Nacional de Segurança (ENS)
• Regulamento de Resiliência Operacional Digital (DORA)
• Legislação nacional e internacional sobre Cibersegurança
• Legislação nacional e internacional sobre Proteção de Dados (RGPD, LOPDGDD)
• Legislação nacional e internacional sobre Propriedade Intelectual
• Legislação sobre Sociedade da Informação e Comércio Eletrónico
• Legislação sobre Segurança nas Redes e Sistemas de Informação

Princípios

A Política da Segurança da Informação da Global Exchange será desenvolvida, em geral, de acordo com os seguintes princípios:

• Princípio de confidencialidade: os ativos pertencentes às tecnologias da informação deverão ser acessíveis unicamente por utilizadores, órgãos e entidades ou processos expressamente autorizados para tal, respeitando as obrigações de sigilo e segredo profissional.
• Princípio de integridade e qualidade: deverá ser garantida a manutenção da integridade e qualidade da informação, bem como dos processos de tratamento da mesma, estabelecendo-se os mecanismos para assegurar que os processos de criação, tratamento, armazenamento e distribuição da informação contribuem para preservar a sua exatidão e correção.
• Princípio de disponibilidade e continuidade: será garantido um alto nível de disponibilidade nos ativos de TIC e serão implementados os planos e medidas necessários para assegurar a continuidade do serviço e a recuperação ante eventuais contingências graves.
• Princípio de rastreabilidade: serão implementadas medidas para assegurar que a todo o momento seja possível determinar quem fez o quê e quando, a fim de ter capacidade de análise sobre os incidentes de segurança detetados.
• Princípio de gestão do risco: deverá ser articulado um processo contínuo de análise e tratamento de riscos como mecanismo básico sobre o qual assentará a gestão da segurança dos ativos de TIC.
• Princípio de consciencialização e formação: serão articuladas iniciativas que permitam aos utilizadores conhecerem os seus deveres e obrigações quanto ao tratamento seguro da informação. Da mesma forma, será fomentada a formação específica em matéria de segurança da informação de todas as pessoas que dela necessitem.
• Princípio de prevenção: serão desenvolvidos planos e linhas de trabalho específicos orientados para a prevenção de fraudes, incumprimentos ou incidentes relacionados com a segurança da informação.
• Princípio de melhoria contínua: será revisto o grau de eficácia dos mecanismos de controlo da segurança da informação implementados, com o objetivo de os adequar à constante evolução dos riscos e do ambiente tecnológico da Global Exchange.
• Princípio de mínimo privilégio: indica que, numa camada particular de abstração de um ambiente computacional, cada parte deve ser capaz de aceder apenas à informação e aos recursos que sejam necessários para o seu propósito legítimo.
• Princípio da necessidade de saber: o seu objetivo é garantir que apenas as pessoas autorizadas acedem à informação ou aos sistemas necessários para desempenhar as suas funções.
• Princípio de zero trust: o princípio de zero trust, ou confiança zero, estabelece um modelo de segurança de confiança zero ("nunca confie, verifique sempre"), que significa que, por predefinição, não devemos confiar nos dispositivos.